امروزه با بررسی عمیق‌تر لایه‌های نرم‌افزاری و سخت‌افزاری، متخصصان متوجه وجود باگ‌هایی می‌شوند که قابلیت هدف قرار دادن طیف وسیعی از شرکت‌ها و کاربران آن‌ها را دارد. بر همین اساس، امکان حملات سایبری از راه دور برای ۶۷ درصد از گوشی‌های اندرویدی وجود داشته است. با ترنجی همراه باشید.
سه آسیب پذیری کشف شده در چیپست‌های کوالکام و مدیاتک سرانجام در اواخر سال گذشته اصلاح شد، اما نکته مهم این است که قبل از اینکه دو سوم گوشی‌های اندرویدی در معرض خطر دسترسی مهاجمان به مکالمات صوتی و گفتگوهای رسانه‌ای قرار بگیرند، اصلاح شدند. هر دو شرکت کوالکام و مدیاتک از کدک صوتی بدون افت کیفیت اپل (ALAC) استفاده می‌کنند که امکان فشرده سازی بدون افت کیفیت موسیقی دیجیتال را فراهم می‌کند.
بیش از یک دهه پیش، اپل ALAC را به صورت متن باز ساخت و اجازه داد این فرمت در دستگاه‌های غیر اپلی از جمله گوشی‌های اندرویدی نیز استفاده شود. تا کنون چندین آپدیت برای این فناوری منتشر شده بود اما از ۲۰۱۱ تا سال قبل هیچ بهبودی در بحث امنیت دریافت نکرده بود.
محققان شرکت امنیتی Check Point Research کشف کردند که مهاجمان میتوانند از این آسیب پذیری‌ها برای اجرای یک حمله اجرای کد از راه دور (RCE) استفاده کنند. شرکت چک پوینت ریسرچ در وبلاگ خود نوشته است که تاثیر یک آسیب پذیری RCE می‌تواند از اجرای بدافزار تا کنترل داده‌های چندرسانه‌ای کاربر از جمله پخش مستقیم از دوربین دستگاه تحت کنترل توسط مهاجم متغیر باشد. علاوه بر این، یک برنامه اندرویدی غیر مجاز می‌تواند از آسیب پذیری‌های خود برای افزایش سطح دسترسی به داده‌های رسانه‌ای و مکالمات کاربر استفاده کند.
بررسی‌های Check Point مشخص کرده است که کوالکام و مدیاتک کدهای آسیب‌پذیر ALAC را به رمزگشاهای صوتی خود منتقل کرده‌اند. این شرکت می‌گوید چنین اشکالی در بیش از نیمی از گوشی‌های هوشمند در سراسر جهان وجود داشته است. چک پوینت همچنین خاطرنشان می‌کند که آخرین اعداد IDC نشان دهنده سهم ۴۸.۱ درصدی از کل تلفن‌های اندرویدی در ایالت متحده است که به چیپست‌های مدیاتک مجهز شده و ۴۷ درصد دیگر آن نیز از تراشه‌های کوالکام استفاده می‌کنند.
به گفته PhoneArena، چک پوینت اطلاعاتی را که جمع آوری کرده بود به کوالکام و مدیاتک منتقل کرد. مدیاتک دو مورد از آسیب پذیری‌های مشترک و قرار گرفتن در معرض CVE-2021-0674 و CVE-2021-0675 را به آسیب‌پذیری‌های ALAC که قبلا توسط MediaTek رفع شده بود و در بولتن امنیتی مدیاتک در دسامبر ۲۰۲۱ منتشر شده بود، گزارش کرده است. شرکت کوالکام نیز در دسامبر ۲۰۲۱ یک پچ جهت رفع مشکل CVE-2021-30351 منتشر کرده بود.
Slava Makkaveev محقق امنیتی که همراه با Netanel Ben Simon این آسیب پذیری‌ها را کشف کرده‌اند گفته است این آسیب‌پذیری‌ها به راحتی قابل بهره‌برداری بودند. یک هکر می‌توانست یک آهنگ (یا فایل چند رسانه‌ای) ارسال کند و زمانی که توسط یک قربانی احتمالی پخش می‌شد، می‌توانست کدی را به آن تزریق کند. هکر همچنین می‌توانست آنچه را که کاربر تلفن همراه در تلفن خود می‌بیند را ببیند.
